第四章 将零信任引入设备安全

如果网络犯罪分子要写一本名为《高效黑客的七个习惯》的书，其中肯定会有一章叫作“以终端为起点”。终端是网络犯罪分子获取更有价值网络资源的首选初始攻击向量。本章将介绍如何把零信任策略应用于设备安全。

本章概要：

• 了解连接到网络的设备
• 获得设备可见性与控制能力
• 实施自动响应与网络编排

发现并识别设备

除了了解谁在网络上（见第二章），组织还需要了解哪些设备连接到了网络。这些设备包括：

• 联网办公设备（如打印机）
• 零售系统（如销售点系统）
• 运营技术（Operational Technology，OT）
• 物联网（IoT）传感器和设备

注

Remember

管理这些设备的难点在于：它们部署范围广泛，设备管理水平参差不齐，配置控制不一致，而且许多旧式设备不支持标准通信协议。

随着连接网络的设备激增，组织需要保护的攻击面呈指数级扩大，每台终端设备实际上都构成了一个微边界，传统网络边界几乎已不复存在。设备数量的爆发式增长和攻击面的扩大，使许多组织逐渐失去可见性和控制能力，因为它们无法再确定究竟有哪些设备正在连接网络。由于每个微边界都对应一台独立设备，这些终端也成为恶意软件感染和复杂漏洞利用的主要目标。

注意

针对 IoT 设备的攻击不断增加，而一次成功 IoT 攻击的规模与影响可能极具破坏性。例如，美国网络安全和基础设施安全局（CISA）与多家行业安全公司合作，发现数百万台 IoT 智能摄像头设备存在漏洞，攻击者可借此访问摄像头、观看实时视频，并组建僵尸网络。

IoT 设备的爆发是终端攻击面增长最快的领域。随着组织将越来越多的智能设备接入网络，针对 IoT 设备的网络攻击也快速增长。攻击者利用这些设备发动分布式拒绝服务（DDoS）攻击及其他恶意活动。

注

Remember

为了保护终端，企业必须全面了解每台设备的位置、用途，以及它在整个网络拓扑中如何与其他设备连接。缺乏可见性会使组织暴露于看不见的风险之中，而许多组织尚未制定应对 IoT 设备攻击的策略。安全团队必须能够发现并识别网络边缘的所有设备。

一些组织使用传统网络分段，但要定义一种基于网络的安全分段，使所有授权用户和应用程序都能访问，同时其他任何主体都完全无法访问，是一项困难的工作。基于策略的分段支持更加动态、更加精细的网络分段策略，并能自动适应环境，在零信任网络中确保最小权限。

确保终端可见性与控制

网络访问控制（Network Access Control，NAC）解决方案可帮助组织应对网络中终端和设备激增带来的持续扩张的攻击面。NAC 解决方案为网络环境提供可见性，从而实施控制并动态管理策略。无论设备从网络内部还是外部接入，NAC 解决方案都能自动响应受感染设备或异常活动。借助 NAC，组织可以：

• 发现、识别所有设备，为其建立配置画像，并扫描漏洞
• 建立并持续确保网络控制
• 建立并实施策略，将设备的网络访问范围限制在其必需资源内
• 保持自动响应和网络编排能力（本章后文将进一步讨论）

NAC 解决方案可以在每台设备请求网络访问时自动识别设备、为其建立画像，并扫描设备漏洞。NAC 流程应在数秒内完成，以最大限度降低设备受侵害的风险。依靠流量扫描的 NAC 解决方案会在识别过程中允许设备接入网络。然而，流量扫描过程可能持续半小时，在此期间，受感染的设备或终端可能已经突破网络防线。

提示

NAC 解决方案应当易于从中心位置进行部署，并在有线和无线网络中提供一致的运行体验。

提供自动响应与网络编排

为了加快攻击速度并扩大攻击范围和规模，网络犯罪分子广泛利用自动化技术。网络可见性虽然有助于检测潜在威胁，但由于人工工作流缓慢，对这些威胁的响应可能支离破碎且效率低下。安全团队如果缺少高级安全流程的支持，往往会处于劣势，从而增加组织风险。

攻击日益复杂，而安全分析人员面对的安全基础设施也越来越复杂和碎片化，其中包含来自不同供应商的过多单点产品。

不断变化的网络要想保持安全，首先必须了解自身构成——看不见的对象就无法保护。有效的 NAC 平台提供基于策略的安全自动化与编排能力，可以发现每台终端和网络基础设施设备，提供实施动态网络访问控制所需的上下文感知能力，并通过自动威胁响应遏制网络入侵。

提示

Case Study

Grupo Universal 借助 FortiNAC 获得可见性与控制能力

Grupo Universal 是多米尼加共和国的主要企业集团之一，由 10 家子公司组成，为保险、金融及其他服务行业的组织提供解决方案。

挑战

IT 安全和 IT 基础设施可用性对 Grupo Universal 至关重要。2017 年，公司启动了自 1964 年成立以来最重要的项目之一：技术与数字化转型。

在当今数字经济的技术需求下，将数据存放在集中式架构中会限制员工访问并影响用户响应。Grupo Universal 的 IT 团队认识到集中式数据库的风险，决定向无线连接模式演进。无线模式同样带来一些挑战，但使公司能够满足客户和内部用户对网络安全的要求。为推进去中心化基础设施项目，Grupo Universal 选择与 Fortinet 合作。

解决方案

为降低运维团队的管理复杂度，Grupo Universal 提出实行集中管理，以降低风险并保持通信基础设施及时更新。

通过将 Fortinet Secure SD-WAN 与其他 Security Fabric 解决方案集成，Grupo Universal 得以部署高性能通信基础设施和端到端安全。FortiManager 和 FortiAnalyzer 等管理与分析解决方案通过单一管理界面提供完整可见性与集中式策略管理。

FortiNAC 网络访问控制可以全面呈现网络上的所有设备，并对每台设备获得的访问级别进行完整控制；FortiClient 则针对零日威胁提供高级主动式终端防护，并与 FortiSandbox 无缝集成，实现高级威胁检测。

安全电子邮件网关 FortiMail 保护基于云的电子邮件服务免受高级邮件威胁，确保用户与数据安全。借助 FortiWeb Web 应用防火墙，Grupo Universal 可以安全访问云端关键业务应用。在整个组织中部署 FortiAP 后，各部分得以连接为一个整体，并确保分支机构设备获得安全无线访问。

业务影响

• 所有站点采用冗余链路，提高了性能和通信速度
• 每年节省 3 万美元通信链路成本和 7 万美元 WAN 优化成本
• 通过本地互联网出口，更快访问云和云托管应用程序

通过该项目，Grupo Universal 不仅适当扩展了通信与 IT 基础设施，实现了集中管理并改善了控制管理和风险响应，还成功降低成本，将网络可用性提高到 99.9%。在 Fortinet 的支持下，Grupo Universal 得以在技术与数字化转型过程中有效整合通信与安全。

更新历史

Ver	Description	Author	Rev	Date
1.0	First Complete	ysheng	tanga	2026.08.26
0.1	Draft Version	-	-	2026.08.04